Mesure de niveau anti-débordement : régler l’alarme très haute indépendante selon la vitesse de remplissage

Mesure de niveau anti-débordement : régler l’alarme très haute indépendante selon la vitesse de remplissage

Principe de sécurité. La mesure de niveau anti-débordement doit laisser assez de hauteur pour arrêter l’arrivée après l’alarme ou le déclenchement. Un détecteur de niveau très haut monté près du trop-plein ne suffit pas si la décélération de la pompe, la fermeture de la vanne et la réponse de l’opérateur consomment l’espace restant. L’indépendance doit aussi être physique et fonctionnelle : deux nombres issus d’un même transmetteur ne constituent pas deux couches de protection.

Calculer le recul avant de choisir la cote d’alarme

Partez de la vitesse maximale crédible de remplissage, et non de la moyenne normale de la pompe. Incluez toutes les arrivées simultanées permises par le scénario. Listez ensuite tous les délais entre le franchissement du point de déclenchement par le produit et l’arrêt effectif de l’écoulement.

Exemple avec réponse de l’opérateur. La vitesse maximale de montée du niveau est de 0.80 m/min. Il faut 5 secondes pour reconnaître l’alarme, 60 secondes sont allouées à l’opérateur pour réagir, puis 12 secondes supplémentaires à la vanne distante et à la décélération de la pompe. Le temps total alloué est de 77 secondes, soit 1.283 minutes.

Montée du niveau après déclenchement = 0.80 × 1.283 = 1.03 m

Avec l’hypothèse d’une montée constante et de délais successifs, la distance de réponse est d’environ 1.03 m. Ajoutez les marges requises pour la mesure, le repère, le réglage, les vagues et les autres facteurs avant de choisir la cote maximale de déclenchement. Si la réserve supplémentaire est de 0.35 m, le recul de cet exemple est d’environ 1.38 m sous le niveau limite. Incluez tous les délais pertinents de détection, de logique et d’arrêt sans les compter deux fois.

Il s’agit d’un exemple, pas d’une consigne universelle. Si l’arrivée est exprimée en volume par unité de temps et si la section du récipient varie avec la hauteur, calculez la montée du niveau à partir de la courbe de capacité réelle plutôt que de supposer une vitesse constante en m/min. Une fonction instrumentée de sécurité automatique comporte une autre chaîne de réponse et d’autres exigences de démonstration ; utilisez l’analyse des dangers du projet et la norme applicable.

L’indépendance concerne une chaîne, pas un second repère d’instrument

Un radar de régulation et un détecteur d’alarme peuvent partager un piquage, un joint de procédé, une alimentation, une carte d’entrée PLC ou une erreur commune d’outil de configuration. L’acceptabilité dépend de la réduction du risque requise et de la philosophie anti-débordement applicable. Ne revendiquez pas l’indépendance sans inventorier les éléments communs.

Pour une couche très haute réellement distincte, examinez l’élément sensible, le raccordement au procédé lorsque nécessaire, l’électronique, la sortie, le solveur logique, l’alimentation, l’élément final et les procédures humaines. Un second canal dans le même transmetteur peut fournir des diagnostics utiles, mais ne constitue pas automatiquement une couche de protection indépendante.

Utilisez un tableau des causes communes pendant l’étude. Ses lignes doivent couvrir les dépôts de produit, le piquage bouché, la perte d’alimentation, la carte d’entrée défaillante, la plage incorrecte, la modification logicielle commune, l’inhibition de protection laissée active et la défaillance de l’élément final. Les colonnes doivent indiquer si la régulation et la fonction très haute sont toutes deux affectées, comment la défaillance est détectée et quelle réponse procédurale subsiste. Ce tableau est plus révélateur qu’un plan portant deux symboles d’instrument.

Un radar continu pour la régulation et un détecteur ponctuel pour le niveau très haut constituent une architecture courante. Un second appareil continu peut aussi convenir si sa couverture diagnostique, son installation et sa chaîne de sortie répondent au besoin. L’étiquette technologique compte moins que le comportement en défaillance vérifié.

Normal, haut et très haut sont des fonctions différentes

Le niveau haut normal peut arrêter un transfert courant ou demander l’attention de l’opérateur. Le niveau très haut est la dernière couche de niveau définie avant la condition limite. Si les deux déclenchent la même vanne par la même logique et partagent la même défaillance, leurs contributions à la réduction du risque ne peuvent pas simplement s’additionner.

Distinguez aussi le niveau maximal de service, le niveau d’alarme, le niveau de déclenchement, la cote de débordement et la limite structurelle ou de remplissage sûr. Un plan de cuve portant seulement « 100% » ne suffit pas pour concevoir la protection anti-débordement.

Les essais périodiques doivent vérifier la chaîne sur laquelle repose la protection

L’autotest d’un appareil ne prouve ni que le piquage est libre, ni que le détecteur est à la bonne cote, ni que le solveur logique agit, ni que la vanne finale arrête l’écoulement. Définissez la portion de chaîne couverte par chaque essai et les essais distincts qui couvrent le reste.

Questions pour la procédure d’essai :

Peut-on élever le niveau physique du produit en sécurité, ou utilise-t-on une méthode de simulation approuvée ?

La simulation contourne-t-elle l’élément sensible, et quelle inspection supplémentaire couvre cette lacune ?

Le déclenchement est-il testé seulement jusqu’au solveur logique, ou jusqu’à l’élément final ?

Les inhibitions de protection sont-elles enregistrées, limitées dans le temps et levées de façon indépendante ?

La cote de déclenchement, la consigne, le temps réel de réponse et les valeurs en fin d’intervention sont-ils consignés ?

L’intervalle découle-t-il des exigences de sécurité et des observations du site, plutôt que d’être copié d’un autre site ?

Ne revendiquez pas une performance SIL sur la seule base d’un certificat d’appareil. La fonction de sécurité, l’architecture, les données de défaillances dangereuses, l’intervalle des essais périodiques, les hypothèses de causes communes et les procédures d’exploitation comptent tous.

Questions des études anti-débordement

Question 1. L’alarme très haute du radar de régulation peut-elle servir de secours indépendant ?

Pas par défaut. Elle partage le capteur et l’électronique. L’existence d’un secours pouvant être crédité exige une évaluation de l’indépendance et du risque.

Question 2. Une fourche vibrante est-elle plus sûre qu’un radar pour le niveau très haut ?

Aucune technologie n’est automatiquement plus sûre. L’adéquation, les diagnostics, le comportement du produit, l’installation, l’architecture et les essais périodiques déterminent la protection fournie.

Question 3. Pourquoi ne pas placer le niveau très haut aussi près que possible du débordement ?

Parce que l’arrivée continue pendant la détection, la décision et l’arrêt. La distance de réponse calculée et les marges peuvent exiger une consigne plus basse.

Question 4. Une cartographie des fausses réflexions peut-elle servir de justification de sécurité ?

La configuration complète et la maîtrise des modifications influent sur la fiabilité. Les réglages liés à la sécurité exigent la vérification et la procédure de gestion des modifications du projet ; une fonction pratique de mise en service ne constitue pas une preuve de sécurité.

Question 5. Que doit comprendre une demande de prix (RFQ) ?

Le niveau limite, la cote de déclenchement proposée, la vitesse maximale de remplissage, la philosophie d’arrêt, l’indépendance requise, la norme ou catégorie applicable, les données du produit et du piquage, les contraintes d’essais périodiques et les diagnostics requis.

Guides techniques associés

• Remplacement par un transmetteur de niveau radar sur une cuve existante : ce qui peut être réutilisé
• Transmetteur de niveau radar 80 GHz ou 26 GHz : décider au-delà de la fiche technique

Discutez de votre application de mesure avec METRAVON